[이데일리 최정훈 기자] 은행 이용 고객이 개인정보를 악용한 범죄로 금전적 피해를 입더라도 정보 유출과 피싱 사이의 연결고리를 입증하기 어려워 배상을 받기가 쉽지 않은 게 현실이다. 피싱에 악용된 개인정보가 사실상 어디서 유출된 것인지 가리기가 어려워서다. 금융회사의 ‘무과실 배상책임제’ 도입 필요성에 대한 목소리가 커지는 것도 이 때문이다. 다만 은행 등 금융회사 역시 정상 거래와 사기를 구별하기 어려운 만큼 피해 구제의 문턱을 낮추면서도 책임 범위와 악용 방지 장치를 정교하게 설계해야 한다는 지적이 나온다.

◇유출정보로 피싱 당해도 입증 막막…직접 송금은 배상 사각지대



12일 손명수 더불어민주당 의원실이 금융감독원으로 받은 자료에 따르면 지난해 보이스피싱 피해액은 역대 최대인 1조2578억원으로, 전년도에 비해 70% 넘게 증가했다. 금융사가 지급 정지한 사기 이용 의심계좌는 10만2307건으로 2021년보다 두 배 가까이 늘었다. 하지만 금감원 자료상 환급률은 같은 기간 35.9%에서 26.3%로 떨어졌다. 지급정지 후 계좌에 남은 돈만 돌려주는 구조여서 범죄조직이 이미 빼돌린 피해금은 회수하기 어려운 만큼 별도의 배상 제도가 필요하다는 지적이 나온 이유다.

금융당국은 지난 6일부터 한 달간 ‘개인정보 유출 2차피해 특별대응기간’을 운영하고 있다. 비밀번호나 일회용 비밀번호(OTP) 등 금융거래 인증정보가 유출되지 않았더라도 다른 개인정보를 결합한 맞춤형 대출빙자 사기 등이 발생할 수 있다는 판단에서다. 금융사들은 유출 고객 관련 이상거래 감시와 비대면 대출·계좌개설, 고액 이체 등 고위험 거래의 추가 본인확인을 강화하고 있다.

최근 금융권에서는 해킹·개인정보 유출 사고가 잇따라 확인됐다. 금융당국이 파악한 정보 유출 금융사는 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사다. 신한은행은 고객 약 2만5700명, 예가람저축은행은 약 4만명의 정보 유출을 확인했다. 웰컴저축은행에서는 법인고객 정보가 최대 2200건 유출된 것으로 파악됐다.

보안업계에서는 이번에 유출된 개인정보가 피싱 범죄에 악용될 가능성이 매우 높다고 지적한다. 사기범이 고객의 이름과 금융거래 정보를 알고 접근하면 실제 금융회사 직원으로 오인하게 만들기 쉬워서다. 인증정보가 없어 직접 돈을 빼내지 못하더라도 대출 상담이나 피해 보상 등을 명목으로 고객을 속여 송금을 유도할 수 있다는 것이다.

그러나 유출정보를 악용한 피싱 피해가 발생하더라도 현행 제도로 금융사로부터 배상받기는 쉽지 않다. 현행 ‘비대면 금융사고 책임분담제’는 금융사의 예방 노력과 이용자의 과실 정도를 따져 피해액을 분담하지만 모든 피싱 피해를 포괄하지 않는다. 접근매체 위·변조나 탈취 등을 이용한 무단 이체는 일정 요건에 따라 배상 대상이 될 수 있지만, 피해자가 사기범에게 속아 직접 송금을 지시한 거래는 원칙적으로 제외된다.

정보가 유출된 금융사에 별도로 피싱 피해 배상을 요구하는 과정에서도 어려움이 있다. 개인정보 유출 자체에 대한 배상과 이후 발생한 피싱 피해액의 배상은 다른 문제이기 때문이다. 사고 금융사가 제재를 받더라도 고객의 피싱 피해액이 자동으로 보전되는 것은 아니다. 유출된 정보가 범죄에 사용돼 손실로 이어졌다는 인과관계가 쟁점이 된다.

보안업계 관계자는 “사기범이 피해자의 이름이나 대출정보를 알고 접근했더라도 그 정보가 어느 금융사에서 유출됐는지 추적하기는 쉽지 않다”며 “여러 경로로 확보한 정보를 결합해 범죄에 활용할 수 있어, 개인정보 유출 이후 피싱 피해가 발생했다는 사실만으로 두 사건의 연관성을 입증하기는 어렵다”고 설명했다.

◇무과실 배상 추진에 책임 공방…“피해 구제·악용 방지 함께 풀어야”

이에 금융당국은 금융사의 과실이 없더라도 일정 범위의 보이스피싱 피해를 배상하도록 하는 무과실 배상책임 제도를 추진하고 있다. 피해자의 입증 부담을 덜고 금융사의 이상금융거래탐지시스템(FDS) 등 예방체계 강화를 유도하려는 취지다. 관련 법안은 정무위원회에 회부됐지만 아직 법안소위 심사로 이어지지 못했다. 이억원 금융위원장은 지난 8일 국정감사에서 “금융회사나 통신회사들이 미리 더 강한 책임감을 갖고 할 수 있도록 무과실 책임을 어떻게 설계할 수 있을지 계속해서 고민하겠다”고 밝혔다.

금융권의 부담도 풀어야 할 과제다. 고객이 직접 본인 인증을 하고 송금한 거래가 정상적인 자금 이체인지, 사기범의 지시에 따른 것인지 은행이 사전에 판별하기는 쉽지 않다. 의심거래 차단 기준을 넓히면 정상적인 금융거래까지 막힐 수 있다. 피해 신고 이후에도 실제 사기 피해인지, 고객이 범죄에 가담했는지 등을 확인하는 절차도 필요하다. 정보 유출 금융사와 송금·수취 금융사가 서로 다를 때 책임을 어떻게 나눌지도 정해야 한다.

통신사와의 책임 분담을 놓고도 입장이 엇갈린다. 금융권은 전화·문자를 통한 사기 접근을 차단하는 통신사도 책임을 나눠야 한다는 입장이다. 올해 1~8월 보이스피싱의 약 94%는 전화나 문자메시지를 통해 접근했다. 반면 통신업계는 계좌·거래정보에 접근하거나 자금 흐름과 거래 승인을 통제할 수 없다며 무과실 배상책임 부과는 과도하다고 반박했다. 통화 내용도 임의로 확인할 수 없는 만큼 금융사와 동일한 책임을 지우기 어렵다는 주장이다.

해외에서는 금융사가 피싱 피해를 직접 배상하는 제도를 운영하고 있다. 영국은 2024년 10월부터 자국 내 지정 결제망을 통해 피해자가 사기범에게 속아 직접 송금한 경우에도 금융사가 건당 최대 8만5000파운드까지 배상하도록 했다. 다만 피해자의 범죄 가담이나 중대한 과실이 확인되면 배상에서 제외할 수 있다. 싱가포르는 같은 해 12월 금융사와 통신사에 정해진 피싱 예방 의무를 부여하고, 이를 위반하면 피해액을 부담하도록 하는 공동책임제도를 시행했다. 금융사와 통신사의 예방 의무 이행 여부에 따라 책임을 묻는 방식이다.

전문가들은 피해자의 입증 부담을 줄이는 방향으로 제도를 마련하되 금융사의 조사 책임과 면책 기준도 함께 정해야 한다고 조언했다. 서지용 상명대 경영학과 교수는 “소비자가 피해 경위와 과실 여부를 증명하기는 쉽지 않다”며 “무조건 배상하는 것은 금융사에도 부담이 큰 만큼 금융사가 책임을 지고 피해 경위를 확인하는 방식으로 가는 것이 좋겠다”고 말했다.